NIS2: Classificare male i servizi? Un errore che può costare caro (e non solo in multe)

Immagina di dover dichiarare il tuo reddito e, per sbaglio, di finire nella casella sbagliata: invece di pagare il 30%, ti ritrovi con un’aliquota da milionario. Con la direttiva NIS2, l’errore è simile, ma le conseguenze sono molto più tangibili di una semplice trattenuta in busta paga.

Perché la categorizzazione è il tallone d’Achille della NIS2

La direttiva NIS2 (recepita in Italia con il D.Lgs. 138/2024) classifica le aziende in due macro-categorie: soggetti essenziali e soggetti importanti. La differenza non è solo nominale: per i primi scattano obblighi più stringenti, sanzioni fino a 10 milioni di euro o al 2% del fatturato globale annuo, e un regime di vigilanza ex ante. Per i secondi, le sanzioni arrivano a 7 milioni o all’1,4% del fatturato, con un controllo ex post.

Il problema? Molte aziende sottovalutano la fase di categorizzazione, affidandosi a checklist superficiali o a interpretazioni creative. Il risultato? O ci si ritrova con obblighi sproporzionati (e costi inutili), oppure – peggio – con misure di sicurezza inadeguate perché si è stati classificati come “importanti” quando si è in realtà “essenziali”.

L’errore più comune: confondere “dimensione” con “criticità”

Un classico è pensare: “Siamo una PMI, quindi siamo sicuramente ‘importanti’”. Sbagliato. La NIS2 guarda al settore e al ruolo sistemico. Un piccolo fornitore di servizi cloud per un ospedale può essere essenziale, mentre una grande azienda di logistica che non gestisce dati critici può essere importante. È come giudicare un libro dalla copertina: a volte un tascabile contiene più sostanza di un mattone.

Per evitare questo scivolone, serve una Business Impact Analysis (BIA) fatta come si deve. Non una scartoffia da riempire in fretta, ma un’analisi che valuti l’impatto di un incidente sui servizi essenziali, sulla continuità operativa e sulla sicurezza nazionale.

BIA: non è un optional, è la tua bussola

La BIA ti aiuta a rispondere a domande chiave: quali servizi, se interrotti, causerebbero danni significativi alla società? Quali dati, se compromessi, metterebbero a rischio la sicurezza pubblica? È un po’ come fare l’inventario di casa prima di un trasloco: se non sai cosa hai, come fai a sapere cosa assicurare?

Una BIA ben fatta ti permette di:

• Identificare i servizi critici e i relativi asset.
• Determinare la soglia di tolleranza al rischio.
• Giustificare la categorizzazione scelta (e difenderla in caso di audit).

In pratica, è la differenza tra indossare un’armatura su misura e un giubbotto antiproiettile preso a caso: entrambi proteggono, ma uno è molto più efficace.

Le conseguenze di una categorizzazione errata

Se sbagli, le sanzioni sono solo la punta dell’iceberg. Il vero danno è operativo: immagina di dover implementare misure di sicurezza pensate per un colosso bancario quando sei una startup. Sprechi risorse, rallenti l’innovazione e, ironicamente, aumenti il rischio perché ti concentri sugli aspetti sbagliati.

Inoltre, in caso di incidente, l’autorità competente (l’ACN in Italia) potrebbe contestarti di non aver adottato misure proporzionate al rischio reale. E lì, la scusa “ma ci avevano detto che eravamo importanti” non regge.

Come evitare l’errore: 3 passi pratici

Primo: non fare da solo. Coinvolgi chi conosce il business (non solo l’IT). Secondo: usa framework riconosciuti (tipo ISO 22301 per la BIA). Terzo: documenta tutto. Se un domani un auditor ti chiede perché ti sei classificato come “essenziale”, devi poter mostrare un’analisi solida.

E ricordati: la NIS2 non è un nemico, è un’occasione per mettere ordine. Come pulire la scrivania dopo mesi di caos: all’inizio è noioso, ma poi trovi persino quella penna che cercavi da tempo.

Per approfondire, consulta il testo ufficiale della direttiva su EUR-Lex.